Wanneer stopt gerechtvaardigd belang bij videotoezicht op de werkvloer en in magazijnen?
Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.
Juridische vraag: Ik las dat een Duitse winkel een boete van 10 miljoen heeft gekregen omdat ze videotoezicht inzetten. Maar hoezo is dat nou ineens boetewaardig, elk bedrijf heeft toch videotoezicht tegenwoordig? Het ging om magazijnen en verkoopruimtes, niet echt plekken waar je privacy hebt toch?
Antwoord: Zeker twee jaar lang werd het personeel illegaal gefilmd op de werkvloer, magazijn en andere locaties terwijl hiervoor elke juridische grondslag ontbrak, aldus de Landesbeauftragte für den Datenschutz (LfD) van Nedersaksen, zeg maar de lokale Autoriteit Persoonsgegevens.
Dat klinkt inderdaad wat raar, want voor cameratoezicht is er in de AVG (die natuurlijk ook in Duitsland gewoon geldt) wel degelijk een grondslag: het zogeheten eigen gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Het bewaken van je eigendommen (of toezien op mensen) is een belang waarmee je de privacy mag inperken - mits je maar de nodige maatregelen neemt om dat zo beperkt mogelijk te doen. En dat is waar het misging.
Het belangrijkste punt waar de toezichthouder over valt, is dat naar camera's is gegrepen zonder andere dingen te hebben geprobeerd. Geen random tassenonderzoek, geen menselijk toezicht (een manager die soms even komt kijken), maar direct camera's ophangen. Gezien de impact van camera's (die zien continu alles) is dat een té heftige eerste stap. Ook was er niet echt een concrete aanleiding, maar werd vanuit een algemeen idee van diefstalpreventie met camera's gewerkt. Maar dat is niet hetzelfde als een noodzaak.
In een persbericht (pdf) verweert het bedrijf zich door te stellen dat de camera's primair gericht zijn op het logistieke proces: het opsporen en oplossen van problemen zoals beschadiging of vermissing van producten tussen ontvangst en verkoop. Kennelijk bedoelt men daarmee dat de camera's niet direct mensen filmen maar laptops, mede omdat de CEO in het persbericht aangeeft dat ze als klein bedrijf echt niet mensen gaan beoordelen of aanspreken op basis van camerabeelden.
Ik snap het bezwaar van het bedrijf, maar de kern van de last van de toezichthouder is volgens mij een terecht punt. Camera's zomaar inzetten "ter bestrijding van diefstal" is gewoon een te snel en te makkelijk middel, als je daarmee ook je medewerkers permanent in beeld krijgt. Of je nu daar wat mee doet of niet - alleen al de indruk dat men permanent gefilmd wordt, is genoeg om medewerkers het gevoel te geven dat ze in de gaten gehouden worden. En dat is nergens voor nodig, als er geen concrete aanleiding is.
Ik zou dus zeggen: die camera's specifieker richten op de logistieke stroom, de mensen buiten beeld en inzicht geven in wat er wél wordt gefilmd.
Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Dat vind ik heel wat minder schending van de privacy dan het random controleren van tassen bij de uitgang!
Maar ja, met die tegenwoordige privacy wetgeving is een ding wel duidelijk geworden: we zijn hier met zijn allen verschrikkelijk slechter van geworden. In plaats van aandacht voor de privacy is er nu aandacht voor details en puntjes, en niet meer voor het grote geheel. Van de implementatie heb je alleen maar hinder en je privacy gaat er geen spat op vooruit.
(als je zelf, zoals ieder redelijk mens, onder je privacy iets anders verstaat dan het opnemen van beeld of je IP adres)
Helaas gaat het meestal zo als je zo'n algemeen begrip probeert te formaliseren en dan een autoriteit of een rechter aanstelt om er op te letten. Die kijken alleen naar de letter en niet naar de geest van de wet.
Op mijn werk worden de gangen en in/uitgangen en het parkeerterrein 24 u/dag gefilmd. En ik weet dat er niet iemand zit mee te kijken behalve dan de in/uitgangen die op de receptie in beeld zijn. PRIMA oplossing.
Op mijn werk worden de gangen en in/uitgangen en het parkeerterrein 24 u/dag gefilmd. En ik weet dat er niet iemand zit mee te kijken behalve dan de in/uitgangen die op de receptie in beeld zijn. PRIMA oplossing.
Als die duitse firma dat als beleid had vastgesteld (de beelden worden opgenomen en na x weken gewist, waarbij alleen functionaris X na melding van een incident deze terug mag kijken) was het geen probleem geweest.
Het feit dat er zo maar meegekeken (of terug gekeken) kan worden is het probleem!
Als die duitse firma dat als beleid had vastgesteld (de beelden worden opgenomen en na x weken gewist, waarbij alleen functionaris X na melding van een incident deze terug mag kijken) was het geen probleem geweest.
Het feit dat er zo maar meegekeken (of terug gekeken) kan worden is het probleem!
Dat staat helemaal niet in het artikel, ook niet in het Duitse artikel!
Daar staat dat men dit alleen mag doen als er een concrete verdachte is die betrapt moet worden, niet als algemene
maatregel om later terug te kunnen kijken na een geconstateerd feit. Over wie er mag kijken gaat het helemaal niet.
Ook staat daar dat kulargument dat alles opnemen de privacy meer schendt dan in mensen hun tassen kijken.
Waar halen ze het vandaan???
Dan wordt er gemeld dat de bewaartermijn te lang was. Deze wordt meestal niet expliciet ingesteld maar het systeem
bepaalt die door circulair alles op te nemen, dwz de bewaartermijn wordt bepaald door het aantal camera's, de bitrate,
en de disk capaciteit. Je stelt de bewaartermijn in door de maat disk(s) die je kiest. Nu zal er vast ook wel ergens een
mogelijkheid zitten van "gooi het na 14 dagen altijd weg" maar ik vind het niet erg redelijk om de eigenaar aan te
spreken op een "langer dan nodige bewaartermijn" als er geen exacte definitie is van hoe lang dan wel nodig is.
spreken op een "langer dan nodige bewaartermijn" als er geen exacte definitie is van hoe lang dan wel nodig is.
Verder blijkt in deze organisatie het gehele magazijn, van deur tot deur, voorzien te zijn van permanent filmende camera's. Ook op de verkoopvloer hangen camera's, en dat alles onder het motto "bestrijding diefstal IN HET MAGAZIJN" en dat klopt gewoon niet. Je filmt dan alles en iedereen, en dat is niet proportioneel voor het opgegeven doel. Ga nog maar een keer nadenken want je maakt er een potje van.
Als organisatie wéét je toch hoe lang je de opnames nodig hebt, dat volgt uit het doel waarvoor je de opnames maakt. En je weet dat, omdat je de disks kiest op basis van wat je nodig hebt lijkt me zo.
een systeem offreren en installeren en geeft daarbij wellicht op "ik wil het een maand kunnen terugkijken" en als dat dan
in de praktijk 60 dagen blijkt te zijn dan kijkt er niemand raar op. De leverancier gaat dit niet krap offreren meestal want
hij weet dat als het systeem in de praktijk maar 3 weken aankan terwijl een maand beloofd was, er gezeik komt.
En disks kosten haast niks meer tegenwoordig. Echter het opnieuw bij die klant langsgaan om een grotere of extra
disk te monteren kost hem zijn hele marge op het apparaat.
Naar mijn mening is surveillance beter dan misplaatst vertrouwen gevolgd door latere teleurstelling en problemen.
En die tassencontrole? Ik heb doorgaans niet eens een tas bij me. En als die al mee is, dan zitten er wat boterhammen in. Veel plezier met het controleren van een lege tas. Veel minder ingrijpend dan je volledige werktijd gemonitord te worden, waarbij alle beelden opgeslagen worden, geen idee voor hoe lang en wie er toegang toe heeft.
Alleen jammer dat die boete veel te laag is.
Welk percentage van diefstal wordt gepleegd, door personeel ? In supermarkten worden kassamedewerkers bijvoorbeeld nonstop gefilmd. Om diefstal van geld te voorkomen ?
Naar mijn mening is surveillance beter dan misplaatst vertrouwen gevolgd door latere teleurstelling en problemen.
Daar schuilt denk ik ook je probleem. Misplaatst vertrouwen kan er bij jou niet zijn, je vertrouwt gewoon niemand. Maar is een verschil tussen blind vertrouwen en gerechtvaardigd vertrouwen. Ik heb bij een bank gewerkt op een afdeling met grote stromen cash. Voor je daar mocht werken, werd je gescreend, maar niet gefilmd. We hebben een keer alles ondersteboven gehaald vanwege 1 bankbiljet dat leek te ontbreken.
In een winkel hangen camera's, omdat hier iedereen binnen kan lopen en niet iedereen te vertrouwen is, inderdaad. Maar ik weet ook uit ervaring, dat er grote voorraadverschillen kunnen ontstaan door een slechte administratie. Wanneer niet alles wat het magazijn in en uit gaat wordt bijgehouden, kan dat fors oplopen. En dat hoeft geen diefstal te zijn, gewoon een onderdeel uit het magazijn dat voor een reparatie wordt gebruikt, doet het ook.
Dat krijgt Google en Microsoft nog niet eens als ze heel duitsland filmen...
Of ze krijgen de boete maar traineren de zaak zo lang dat tegen die tijd de euro nog maar 1 cent waard is.
zoals veel mensen die een bekeuring krijgen voor 1km/h te snel.. 'ga boeven vangen'...
Als organisatie wéét je toch hoe lang je de opnames nodig hebt, dat volgt uit het doel waarvoor je de opnames maakt. En je weet dat, omdat je de disks kiest op basis van wat je nodig hebt lijkt me zo.
een systeem offreren en installeren en geeft daarbij wellicht op "ik wil het een maand kunnen terugkijken" en als dat dan
in de praktijk 60 dagen blijkt te zijn dan kijkt er niemand raar op. De leverancier gaat dit niet krap offreren meestal want
hij weet dat als het systeem in de praktijk maar 3 weken aankan terwijl een maand beloofd was, er gezeik komt.
En disks kosten haast niks meer tegenwoordig. Echter het opnieuw bij die klant langsgaan om een grotere of extra
disk te monteren kost hem zijn hele marge op het apparaat.
[...]
Erg zeg, boetes wanneer bedrijven de AVG overtreden....
AVG boete is afhankelijk van de omzet van een bedrijf. Verder zou je overwegen om op een fatsoenlijke manier te reageren.
Dat klopt niet bepaald, wanneer je mede met wet en regelgeving te maken hebt, bij het voeren van een retentie beleid. Dergelijke termijnen zijn geen wensen, maar eisen waaraan voldaan moet worden, contractueel gezien. Indien dat niet het geval is, dan is de bedrijfsvoering niet op orde.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
